amazon-web-services - awscdk - awswaf - 日志记录配置部署失败

Question

我使用的是 CDK 版本 1.139.0，并且我在之前的部署中添加了一个 WAF。现在我尝试为该 waf 添加日志记录配置。所以我在cdk中添加了以下代码并生成了模板。

new CfnLoggingConfiguration(scope,'WafLoggingConfig',{
resourceArn:webAcl.attrArn, // here I attached the wabacl using wabacl code reference.
logDestinationConfigs:[arn:aws:logs:${region}:${accountId}:log-group:aws-waf-logs-for-app],

})

注意:我已经为 waf 创建了名为 aws-waf-logs-for-app 的日志组(它具有 waf 所需的预期前缀)

合成/生成模板后，我进行了 cdk 部署以更新云形成。

我已附加到 Cloudformation 的策略列表:

'wafv2:AssociateWebACL',
'wafv2:CreateWebACL',
'wafv2:DeleteWebACL',
'wafv2:DescribeManagedRuleGroup',
'wafv2:DisassociateWebACL',
'wafv2:Get*',
'wafv2:List*',
'wafv2:UpdateWebACL',
'wafv2:GetLoggingConfiguration',
'wafv2:ListLoggingConfiguration',
'wafv2:PutLoggingConfiguration',
'wafv2:DeleteLoggingConfiguration',
'cloudwatch:DeleteAlarms',
'cloudwatch:Describe*',
'cloudwatch:DisableAlarmActions',
'cloudwatch:EnableAlarmActions',
'cloudwatch:GetDashboard',
'cloudwatch:ListDashboards',
'cloudwatch:PutDashboard',
'cloudwatch:DeleteDashboards',
'cloudwatch:GetMetricData',
'cloudwatch:GetMetricStatistics',
'cloudwatch:ListMetrics',
'cloudwatch:PutMetricAlarm',
'cloudwatch:PutMetricData',

以及其他资源的其他政策。

但是我的云形成无法部署 waf 的日志记录配置，并在 Cloudformation 事件页面中显示以下错误。

资源处理程序返回消息:“您没有执行此操作所需的权限。(服务:Wafv2，状态代码:400，请求 ID:{12474621823782738}，扩展请求 ID:null)”(RequestToken) :{9732489732849732878973}，HandlerErrorCode:GeneralServiceException)

注意:在上面的错误中我修改了Request ID: 和RequestToken的值。我相信我已经给出了云形成所需的策略。

这是 cdk 中的错误吗？ cdk 是否未能创建为此所需的任何角色？有人可以帮我吗？

Answer 1

您的策略中允许 wafv2:PutLoggingConfiguration 操作，但这本身不足以允许该操作。这是因为 wafv2:PutLoggingConfiguration 将 iam:CreateServiceLinkedRole 作为依赖操作。

引用文献

• https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswafv2.html请参阅相关操作列
• https://docs.aws.amazon.com/service-authorization/latest/reference/reference_policies_actions-resources-contextkeys.html

The Dependent actions column includes any additional permissions that you must have, in addition to the permission for the action itself, to successfully call the action. This can be required if the action accesses more than one resource.